NH농협은행, 모바일 신분증 서비스 금융권 최초 ISMS-P 인증 획득

핵심 요약

- NH농협은행, 모바일 신분증 서비스로 금융권 최초 ISMS-P 인증 획득 - 디지털 신원인증 시스템의 개인정보보호 및 정보보호 관리체계 안정성 입증 - 금융권의 비대면 고객서비스 강화와 보안 강화 전략 동시 추진 본격화

주요 내용

NH농협은행은 2026년 8월 모바일 신분증 서비스에 대한 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 금융권 최초로 획득했다. 이는 모바일 운전면허증 등 디지털 신분증을 활용한 비대면 금융서비스의 보안성과 개인정보보호 체계가 국가 인증기준을 충족했음을 의미한다.

모바일 신분증은 행정안전부가 추진하는 모바일 운전면허증 확인서비스를 금융권에 적용한 것으로, 고객이 물리적 신분증 없이도 스마트폰만으로 본인인증을 완료할 수 있는 시스템이다. NH농협은행은 이 서비스를 도입하면서 신원확인 프로세스, 개인정보 처리 절차, 정보보호 관리체계 전반에 대한 엄격한 심사를 통과했다.

금융권은 최근 고객 접근성 향상과 디지털 전환을 가속화하면서도 보안 강화를 병행하는 전략을 추진하고 있다. 하나은행이 27일 충북 청주오스코에서 열린 '2026년 문해교육 유공표창 시상식'에서 금융문해교육 분야 공로를 인정받은 것도 이러한 맥락에서 이해할 수 있다. 금융 소외계층의 접근성을 높이면서도 안전한 금융환경을 구축하려는 노력이 다각도로 전개되고 있다.

특히 모바일 신분증 서비스의 ISMS-P 인증 취득은 생체인증, 블록체인 기반 신원확인 등 차세대 디지털 금융 인프라 구축에 중요한 이정표가 될 전망이다. 금융당국도 비대면 금융서비스의 확대에 발맞춰 보안 및 개인정보보호 기준 강화를 지속적으로 요구하고 있어, ISMS-P 인증은 금융기관의 필수 경쟁력으로 자리잡고 있다.

전문가 시각

모바일 신분증 서비스의 ISMS-P 인증은 단순한 기술 도입이 아니라 전체 업무 프로세스의 재설계를 의미한다. 심사원 관점에서 볼 때, 디지털 신원인증 시스템은 ▲신분증 진위 확인 프로세스의 무결성 ▲생체정보 등 민감정보 처리의 적법성 ▲위·변조 방지 기술적 조치 ▲모바일 환경의 보안 취약점 대응 등 다층적 보안 요구사항을 충족해야 한다. NH농협은행이 금융권 최초로 인증을 획득했다는 것은 이러한 복합적 요구사항에 대한 체계적 대응 방안을 마련했음을 입증한 것이다.

금융기관들은 이번 사례를 벤치마킹하여 디지털 신원인증 서비스 도입 시 초기 설계 단계부터 ISMS-P 인증기준을 반영해야 한다. 특히 개인정보 최소수집 원칙, 목적 외 이용 제한, 제3자 제공 시 동의 절차, 개인정보 생명주기 관리 등 개인정보보호법상 의무사항을 기술적·관리적 통제수단과 긴밀히 연계하여 구현해야 한다. 또한 모바일 신분증 서비스는 행정안전부, 경찰청 등 외부 기관과의 연계가 필수적이므로, 제3자 연계 구간의 암호화, 접근통제, 로그 관리 등에 각별한 주의가 필요하다.

ISMS-P 심사원 체크포인트

1. 개인정보 수집·이용 단계 통제 (ISMS-P 인증기준 3.1.1, 3.1.2)
- 모바일 신분증 정보 수집 시 명확한 수집·이용 목적 명시 및 동의 획득 여부 확인
- 주민등록번호, 운전면허번호 등 고유식별정보 처리의 법적 근거(개인정보보호법 제24조의2) 및 필요 최소한 수집 원칙 준수 여부
- 신분증 이미지, 생체정보 등 민감정보 처리 시 별도 동의(개인정보보호법 제23조) 및 암호화 저장 여부 점검

2. 비대면 신원확인 프로세스 보안 (ISMS-P 인증기준 2.8.2, 2.10.3)
- 모바일 신분증 진위 확인을 위한 행정안전부 연계 API의 보안성(전송구간 암호화, 상호인증 등) 검증
- 위·변조 방지를 위한 전자서명, 블록체인 등 기술적 조치 구현 여부
- 비대면 본인확인 실패 시 재시도 제한, 이상거래 탐지(FDS) 연계 등 부정사용 방지체계 확인

3. 개인정보 생명주기 관리 (ISMS-P 인증기준 3.1.7, 3.1.8)
- 신분증 정보의 보유·이용 기간 설정 및 파기 절차의 적정성(개인정보보호법 제21조)
- 목적 달성 후 자동 파기 시스템 구현 여부 및 파기 이력 관리
- 고객의 개인정보 열람, 정정·삭제, 처리정지 요구권 보장을 위한 인터페이스 제공 여부

CPPG·ISMS-P 연계 포인트

디지털 신원인증과 본인확인 수단의 법적 요건
개인정보보호법 제39조의13(전자적 전송을 통한 개인정보의 이용·제공 등)은 모바일 신분증 등 디지털 방식의 본인확인 수단에 대한 법적 근거를 제공한다. 금융실명법 및 전자금융거래법상 비대면 실명확인 의무를 충족하기 위해서는 신분증 진위 확인, 생체정보 활용, 영상통화 등 복합적 인증수단을 결합해야 하며, 각 수단별로 개인정보 처리의 적법성(동의, 법령상 의무 등)을 확보해야 한다. CPPG 시험에서는 비대면 본인확인 시 수집 가능한 개인정보의 범위, 고유식별정보 처리 예외사유, 생체정보의 민감정보 해당 여부 등이 출제된다.

제3자 제공 및 외부 연계 서비스의 개인정보보호
모바일 신분증 서비스는 행정안전부(모바일 운전면허증 진위 확인), 경찰청(주민등록증 진위 확인) 등 외부 기관과의 개인정보 연계가 필수적이다. 개인정보보호법 제17조(개인정보의 제공), 제26조(업무위탁) 규정에 따라 제3자 제공 동의 획득 또는 법령상 근거 확보, 수탁자 관리·감독, 연계 구간 암호화 등이 요구된다. ISMS-P 심사에서는 외부 연계 API의 접근통제, 전송 데이터의 암호화 강도(TLS 1.2 이상), 연계 이력 로그의 무결성 보장, 정기적 수탁자 보안점검 실시 여부 등을 중점 확인한다. 특히 금융권은 전자금융감독규정상 보안성 심의 의무가 있어 외부 연계 서비스 도입 시 금융보안원 보안성 검토를 사전에 이행해야 한다.